⚠ Renforcement des contrôles CNIL en 2025
La CNIL a annoncé ses thématiques prioritaires pour 2025 : intelligence artificielle, protection des mineurs, cybersécurité et usages numériques du quotidien. En 2024, plus de 340 contrôles ont été menés et 55 sanctions prononcées.
Source : Plan stratégique CNIL 2025-2028 et bilan 2024
Les priorités de la CNIL pour 2025
Le plan stratégique 2025-2028 de la CNIL définit quatre axes majeurs de contrôle. Ces thématiques guideront les actions de l'autorité dans les années à venir.
1.Intelligence artificielle et RGPD
La CNIL a publié des recommandations précisant les obligations des organismes utilisant l'IA :
- Obligation d'information : informer les personnes lorsque leurs données servent à entraîner un modèle d'IA
- Respect des droits : faciliter l'exercice des droits d'accès, de rectification et d'opposition
- Documentation : conserver les preuves de conformité pour les contrôles
Source : Recommandations CNIL sur l'IA, publiées en 2025
2.Protection des mineurs
Le cadre juridique français prévoit des protections spécifiques :
- Moins de 15 ans : consentement conjoint du mineur ET d'un titulaire de l'autorité parentale requis
- Plus de 15 ans : le mineur peut consentir seul pour les services en ligne reposant sur le consentement
- Recommandation CNIL : désactivation par défaut des systèmes de profilage pour les mineurs
Source : Article 45 de la loi Informatique et Libertés, recommandations CNIL 2021
3.Cybersécurité et violations de données
Les obligations en cas de violation de données restent inchangées :
- Délai de notification : 72 heures maximum après prise de connaissance de la violation
- Information des personnes : obligatoire si risque élevé pour leurs droits et libertés
- Documentation : tenir un registre interne de toutes les violations
Source : Articles 33 et 34 du RGPD
4.Cookies et traceurs
La CNIL maintient une vigilance accrue sur les pratiques de collecte :
- Facilité de refus : refuser les cookies doit être aussi simple que les accepter
- Recommandation : bouton « Tout refuser » au même niveau et même format que « Tout accepter »
- Conservation des choix : durée recommandée de 6 mois
Source : Lignes directrices et recommandation CNIL sur les cookies (2020, mises à jour)
Sanctions CNIL : bilan 2024
Contrairement à certaines informations erronées circulant en ligne, voici les données officielles :
| Indicateur | Données 2024 |
|---|---|
| Nombre de sanctions | 55 sanctions |
| Montant total des amendes | ≈ 55 millions d'euros |
| Sanctions simplifiées | 38 (plafonnées à 20 000 €) |
| Nombre de contrôles | Plus de 340 |
Source : Bilan CNIL 2024
Principaux manquements sanctionnés
- Défaut de sécurité des données (absence de chiffrement, mots de passe faibles)
- Non-respect des droits des personnes (droit d'accès, d'effacement)
- Défaut de coopération avec la CNIL (non-réponse aux demandes)
- Cookies non conformes (refus pas aussi simple que l'acceptation)
- Absence de base légale (prospection sans consentement)
Rappel : les règles en vigueur
Transferts internationaux de données
Les clauses contractuelles types (CCT) en vigueur datent de juin 2021. Depuis le 27 décembre 2022, les anciennes CCT ne sont plus valables.
- 4 modules disponibles : responsable → responsable, responsable → sous-traitant, sous-traitant → sous-traitant, sous-traitant → responsable
- Obligation d'évaluation : réaliser une analyse d'impact du transfert (TIA) pour évaluer la législation du pays tiers
- Mesures complémentaires : chiffrement et autres garanties techniques si nécessaire
Source : Décision d'exécution UE 2021/914, CNIL
Sanctions maximales prévues par le RGPD
Les plafonds de sanctions restent inchangés depuis 2018 :
- Infractions graves : jusqu'à 20 millions d'euros ou 4% du CA mondial annuel
- Autres manquements : jusqu'à 10 millions d'euros ou 2% du CA mondial annuel
Checklist de conformité RGPD
Documents obligatoires
Mesures techniques
Organisation
Bonnes pratiques observées
Étape 1 : Diagnostic (1 mois)
- Cartographier tous les traitements de données personnelles
- Identifier les traitements à risque (IA, profilage, données sensibles, mineurs)
- Auditer la conformité du site web (cookies, mentions légales)
- Vérifier les transferts internationaux et les CCT en place
Étape 2 : Mise en conformité (2-3 mois)
- Mettre à jour le registre des traitements
- Rédiger ou actualiser les AIPD nécessaires
- Corriger les non-conformités identifiées (cookies, contrats, sécurité)
- Former les collaborateurs concernés
Étape 3 : Suivi continu
- Audits de conformité périodiques (recommandé : annuel)
- Veille réglementaire active (CNIL, CEPD, évolutions législatives)
- Mise à jour continue de la documentation
WeScreen : votre partenaire conformité
Nos solutions pour sécuriser vos contrats
WeCheck - Contrôle des zones à risque
Présence des clauses conformes à vos templates ou respectueuses de vos politiques internes. Contrôle de conformité avec les exigences règlementaires (RGPD, IA, DORA, clauses abusives...). Identification des clauses porteuses de risque ou contraires à vos politiques de risk management (covenant, règles de responsabilité...). Maîtrise complète des points de contrôle par vos équipes juridiques, risques, achats ou techniques.
WeCompare - Suivi de versions PDF
Détection des écarts entre versions de texte en PDF, à la virgule près. Visualisation, navigation et recherche augmentées par IA. Gestion intelligente des filigranes. Restitution multiformats incluant la piste d'audit.
Piste d'audit systématique : Une traçabilité complète conçue pour faciliter la validation par vos juristes, risk managers, techniciens ou acheteurs. Toujours indispensable pour sécuriser la conformité et la qualité des relations avec les clients.
WePDFPro - La boîte à outils des PDF
Modifiez, scindez, fusionnez, ajoutez ou retirez des filigranes, sécurisez les PDF selon vos besoins.
Sécurisation maximale
Infrastructure Azure France, disponibilité 99%+, chiffrement AES-256, conformité RGPD, étude de vos exigences spécifiques si besoin.
Support expert
Équipe technique expérimentée métier/IT/IA disponible pour vous accompagner dans la prise en main de tous les outils de WeScreen. Elle est aussi à votre écoute pour les faire évoluer au bénéfice de tous !
💡 À retenir
Le RGPD n'a pas été modifié en 2025. Les règles fondamentales (délai de notification de 72h, sanctions jusqu'à 4% du CA, CCT version 2021) restent inchangées. En revanche, la CNIL renforce ses contrôles sur des thématiques spécifiques : IA, mineurs, cybersécurité. La meilleure protection reste une conformité proactive et documentée.
Ressources : cnil.fr | edpb.europa.eu | legifrance.gouv.fr
Document rédigé sur la base des sources officielles CNIL et textes réglementaires. Décembre 2025
Disclaimer : Article informatif rédigé avec des données issues de sources officielles. Il ne constitue en aucun cas un avis ou un conseil. Wescreen vous invite à vous rapprocher de vos juristes d'entreprise ou avocats pour tout conseil juridique.